Márkaszervízben történő vizsgálat után érkezett az email

A panaszos 2021 februárjában márkaszervízben szervizeltette a gépjárművét, melyet követően mind a márkaképviselettől, mind pedig az importőrtől ügyfélelégedettségi kérdőívet kapott.  A márkaszervíz kérdőívét nem sérelmezte, azt azonban igen, hogy az importőr számára személyes adatai megadásra kerültek. Különösen sérelmesnek tartotta azt, hogy az importőr harmadik személyen keresztül kereste meg, illetve megfelelő adatkezelési tájékoztatást sem kapott. A kezelt adatok köre az ügyfél vezeték- és keresztneve, email címe, lakcíme, telefonszáma, gépjárművének alvázszáma, rendszáma, műszaki adatai, a márkakereskedés neve, a szolgáltatás időpontja és a visszajelzés tartalma voltak. Kezelte az importőr továbbá az érintett életkorát és nemét is. Az adatkezelés jogalapja az ügyfélelégedettséghez kapcsolódó importőri jogos érdeke volt.

Importőr: ő dönt az ügyfélelégedettség-kezelésről

A vizsgálat során a márkaképviselet előadta, hogy ő csupán az importőr adatfeldolgozója, azaz a kifogásolt ügyfélelégedettségmérés vonatkozásában az importőr céljai és utasítása alapján jár el. Erre tekintettel vitatta, hogy a kifogásolt adatkezeléssel összefüggésben felelősséggel tartozna. Az importőr ezzel összhangban szintén akként nyilatkozott, hogy a márkaképviseleteket szerződés kötelezi az adattovábbításra, melynek kereteit minden esetben ő, azaz az importőr határozza meg. Nem megfelelő adatszolgáltatás esetében a márkaképviseletekkel kötött szerződés akár fel is bontható. Megerősítette, hogy az adatkezelés jogalapja ügyfélelégedettség vizsgálatával összefüggésben az importőr jogos érdeke.

Az importőr előadta, hogy az érintettek egyedi tájékoztatása a munkalapok mellékleteként átadott adatkezelési tájékoztató útján történik. A márkaképviselet ezzel kapcsolatosan azonban elismerte, hogy a vitás esetben munkavállalói mulasztás miatt nem készült munkalap. Hozzátette, hogy a recepciónál azonban az adatkezelési tájékoztatás elérhető lett volna, illetve az érintettek figyelmét az adattovábbításra szóban is felhívják.

NAIH: Csak az importőr eljárása jogellenes, a márkakereskedés adatfeldolgozó volt

A felügyeleti szerv kiemelte, hogy a márkaképviselet a tényállás tükrében valóban adatfeldolgozóként járt el, mivel az adatkezelés célját és eszközeit nem ő, hanem az importőr határozta meg. Vizsgálta ezzel összefüggésben a közös adatkezelés lehetőségét is, ám úgy vélte, hogy ahhoz hiányzott a márkaképviselet szükséges minimális önállósága, így sem az adatkezelés célját, sem annak eszközeit nem határozhatta meg. A felügyeleti szerv szerint adatfeldolgozó az adatkezelő felelősségi körébe eső jogsértést nem követheti el, mivel az adatfeldolgozót az adatkezelő utasította. Az adatfeldolgozó magatartásának jogellenességét, így az adatfeldolgozó munkavállalójának mulasztását pedig az adatkezelőnek kell betudni.Ugyanezen okból nem lehet jogsértő a márkaképviselet importőr számára történő adattovábbítása sem, hiszen az adatfeldolgozó adatkezelési lépései (adattovábbítás) lényegében az adatkezelő (kiszervezett) saját lépései.

Az importőr nem tájékoztatott megfelelően és jogalapja sem volt

Az adatkezelő kötelezettsége, hogy az adatkezelésről az érintett számára tömör, világos, könnyen hozzáférhető tájékoztatást nyújtson. A tájékoztatás ugyanis alapfeltétele annak, hogy az érintett az érintetti jogait gyakorolni tudja. Az ügyfélelégedettségi felmérést tartalmazó emailekben azonban sem adatkezeléssel kapcsolatos tájékoztatás, sem pedig a konkrét adatkezeléssel kapcsolatos tájékoztatásra utaló hivatkozás nem volt, pedig az elektronikus üzenetek révén semmilyen nehézségbe nem ütközött volna az email végén legalább a legalapvetőbb információk nyújtásáról gondoskodni (tényleges feladó mint adatkezelő, jogalap, forrás, tájékoztató a honlapon). Az importőr az adatfeldolgozóján keresztül sem nyújtott tájékoztatást, hiszen annak munkavállalója a munkalap felvételét elmulasztotta, a szóbeli adatkezelési tájékoztatás megtörténtét pedig nem bizonyította.

Ezt követően a hatóság vizsgálta a jogalap kérdését is. Megállapította, hogy a GDPR 6. cikk (1)(f) bekezdése, illetve a 47. preambulumbekezdés valóban lehetőséget biztosít arra, hogy ügyfelek számára az adatkezelő jogos érdeken alapuló, marketing megkeresést küldjön. A jogos érdek jogalap alkalmazása ugyanakkor csak látszólag jelent jelentős könnyebbséget, hiszen az adatkezelőnek számos körülményt vizsgálnia szükséges. Az első körülmény az, hogy az érintett valóban ügyfélnek számított-e, aki az adatkezelésre számíthat. E tekintetben azonban úgy vélte, hogy az importőrnek az érintett nem ügyfele. Ez még nem zárná ki teljesen a jogos érdek jogalap alkalmazását, ám az érintettet az importőr előzetesen, egyéb módon sem tájékoztatta. A tájékoztatásnak pedig előzetesen kell megtörténnie, ellenkező esetben a tiltakozás joga nem gyakorolható érdemben. Arra különösen nem számított az érintett, hogy az adatkezelő importőr az adatkezelésbe harmadik felet is bevon (aki az emailt kiküldte). Végezetül az ügyfélelégedettségi felméréssel összefüggésben kezelt személyes adatok szükségességét, és alkalmazásuk arányosságát egyenként kellett volna az importőrnek jogos érdek teszt keretében vizsgálnia.

Az együttműködés nem bírságcsökkentő tényező

A felügyeleti szerv az 5 millió forintos adatvédelmi bírsággal összefüggésben kiemelte, hogy az eljárás alá vont együttműködése nem bírságcsökkentő tényező, mivel ez alapkötelezettsége, amiért külön elismerés nem jár. Hasonlóképpen nem vette figyelembe ilyen szempontként azt a hivatkozást, hogy az adatkezelés az érintett érdekeit szolgálta, mivel egy jogsértés nem szolgálhat érintetti érdeket. Az importőr gondatlansága (szándékosság hiánya), illetve a korábbi jogsértések hiánya valóban bírságcsökkentő tényezők.

Dr. Kéri Ádám

ügyvéd